Faut-il un DPO quand on utilise l'IA en PME ?
« On utilise l'IA sur des données de candidats, il faut un DPO. » Pas forcément. La désignation d'un délégué à la protection des données dépend de trois critères précis, indépendants de l'AI Act.
À jour au 19 septembre 2026 — RGPD & PME
Le RGPD n'impose un délégué à la protection des données (DPO) que dans trois cas, fixés par l'article 37, paragraphe 1 : le responsable de traitement est une autorité publique ; ses activités de base exigent un suivi régulier et systématique des personnes à grande échelle ; ou ses activités de base consistent en un traitement à grande échelle de données sensibles (santé, origine, opinions, biométrie…) ou relatives à des condamnations pénales. Aucun de ces cas ne mentionne l'intelligence artificielle : utiliser un outil d'IA sur des données personnelles ne déclenche pas, en soi, l'obligation.
Check-list gratuite. Faites le point en 15 minutes sur les 10 points AI Act et RGPD à vérifier dans votre PME. Ouvrir la check-list →
Le mot qui change tout : « activités de base »
L'article 37 ne vise pas n'importe quel traitement de l'entreprise, mais ses activités de base — ce que le groupe de travail « Article 29 » (devenu le CEPD) définit comme les opérations clés nécessaires pour atteindre les objectifs du responsable de traitement, par opposition aux traitements accessoires ou de support.
Une boulangerie qui utilise un logiciel de recrutement doté d'un module de tri par IA ne fait pas du recrutement son activité de base : c'est un traitement accessoire à son activité réelle, la vente de pain. À l'inverse, une entreprise dont le métier consiste à noter, scorer ou surveiller des personnes pour le compte de ses clients — un éditeur de solution de scoring RH, un prestataire de vidéosurveillance « intelligente » — en fait son activité de base : le critère peut alors s'appliquer, indépendamment de sa taille.
Le document est gratuit. Vous n’avez pas à le rédiger. Le modèle de politique d’usage de l’IA reprend les neuf clauses d’une politique d’usage, déjà rédigées. Vous saisissez votre raison sociale, vos outils autorisés et votre responsable désigné ; le document se met en forme, vous l’imprimez ou vous l’enregistrez en PDF. Sans installation, sans compte à créer.
Essayer le modèle — remplir et voir le document →
ou recevoir le modèle complet, gratuitement
Gratuit. Une adresse email suffit pour le recevoir.
« Grande échelle » : pas de seuil chiffré
Le RGPD ne fixe aucun nombre de personnes ou de dossiers à partir duquel un traitement devient « à grande échelle ». Les lignes directrices du G29 (document WP 243, 13 décembre 2016) proposent d'apprécier le critère au cas par cas, à partir de quatre facteurs : le nombre de personnes concernées, le volume ou l'étendue des données traitées, la durée ou la permanence du traitement, et son étendue géographique. Une caméra qui compte les passages dans une seule boutique n'est probablement pas « à grande échelle » ; le même système déployé en continu dans un réseau national de magasins s'en rapproche davantage.
Trois situations fréquentes en PME
Recrutement assisté par IA. Trier les candidatures d'une PME de quelques dizaines de postes par an relève rarement du « suivi régulier et systématique à grande échelle » au sens du G29 : le volume et la permanence sont limités. Un cabinet de recrutement qui traite ce volume pour des centaines de clients, en continu, s'en rapproche davantage.
Évaluation et vidéosurveillance « intelligentes ». Un système de reconnaissance faciale ou de comptage déployé en continu, sur plusieurs sites, pour surveiller des salariés ou des clients, coche plusieurs facteurs du G29 à la fois : régularité, permanence, parfois étendue géographique.
Outils de santé ou à données sensibles. Un outil d'IA qui traite des données de santé (téléconsultation, aide au diagnostic) fait basculer l'entreprise dans le second critère de l'article 37 dès lors que ce traitement constitue une activité de base et porte sur un volume significatif de patients.
Pas de DPO obligatoire ne veut pas dire pas de responsabilité
Le principe de responsabilité de l'article 24 du RGPD s'applique à toutes les entreprises, DPO ou non : documenter les traitements, sécuriser les données, répondre aux demandes des personnes. Une PME peut aussi désigner un DPO volontairement, sans y être obligée ; une fois désigné, ce DPO est soumis aux mêmes règles d'indépendance et de compétence que s'il était obligatoire (article 38). Elle peut aussi mutualiser un DPO externe à temps partagé, une solution fréquente pour les PME qui approchent le seuil sans le dépasser clairement.
Ce qu'une PME peut vérifier, concrètement
Le traitement par IA en question relève-t-il de mon activité de base, ou seulement d'un outil de support (RH, compta, communication) ?
S'il s'agit de suivi ou de profilage : est-il régulier (continu ou répété) et permanent, ou ponctuel ?
Sur combien de personnes porte-t-il, et sur quelle étendue géographique ?
Traite-t-il des données sensibles (santé, biométrie, opinions) au sens de l'article 9 du RGPD ?
Si aucun critère n'est rempli : le registre des traitements et une personne identifiée en interne pour répondre aux demandes RGPD restent nécessaires, DPO ou non.
Le modèle de politique d’usage — gratuit
Les neuf clauses d’une politique d’usage de l’IA, déjà rédigées. Vous saisissez votre raison sociale, vos outils autorisés et votre responsable désigné ; le document se met en forme, vous l’imprimez ou vous l’enregistrez en PDF. Sans installation, sans compte à créer.
Gratuit. Une adresse email suffit pour le recevoir.
Le kit de conformité — 199 €
Le kit vous aide à documenter vos traitements d'IA dans un registre, que vous ayez ou non l'obligation de désigner un DPO.
Vous renseignez votre raison sociale et la liste de vos outils. Vous choisissez vous-même la catégorie de risque de chaque usage — interdit, haut risque, risque limité, risque minimal, ou « Je ne sais pas encore — à faire vérifier » — à l'aide d'un rappel des règles. Le kit met ensuite en forme votre politique d'usage de l'IA, dont les neuf clauses sont complétées avec les informations que vous avez saisies, votre registre des systèmes d'IA, votre journal des usages sensibles et votre note d'information au personnel.
Pas encore prêt ? Faites l'auto-diagnostic en 3 minutes ou commencez par la check-list AI Act gratuite : 10 points à vérifier en 15 minutes.
La newsletter. Un numéro tous les quinze jours : une question de conformité IA traitée avec les textes applicables et leurs dates, chaque affirmation sourcée. Gratuite, sans publicité. Lire le premier numéro — « Le premier risque de l’IA en entreprise n’est pas européen ».
À lire ensuite
Audit RGPD en PME : les 6 points à vérifier, sans prestataire
Caméras intelligentes en magasin : ce que la loi permet — comptage, détection, reconnaissance faciale.
Trier des candidatures avec l'IA : est-ce autorisé ? — haut risque, information, contrôle humain.
Évaluer ses salariés avec l'IA : ce qui est permis — entretien annuel, scores, prédictions.
Registre des systèmes d'IA : modèle et mode d'emploi — recenser vos outils.
Sources
Règlement (UE) 2016/679 (RGPD), article 37 (désignation du délégué à la protection des données) et article 24 (responsabilité du responsable de traitement).
Groupe de travail « Article 29 » sur la protection des données, lignes directrices concernant les délégués à la protection des données (WP 243 rév.01), adoptées le 13 décembre 2016.
CNIL, « Le DPO, un acteur clé de la conformité », consulté le 19 septembre 2026.
Rédigé par Adrien Bano, fondateur d'IA en Règle. Nous ne sommes pas avocats : cet article a été préparé avec l'aide d'outils d'IA et vérifié sur les textes officiels cités.
Cet article a un but d'information générale, établi d'après les textes en vigueur au 19 septembre 2026 ; il ne constitue pas un conseil juridique.
